Sokan ódzkodnak még a mobiltelefonos vásárlástól, pedig a technológia adott esetben biztonságosabb lehet az átlagos internetes fizetésnél.
Elméletileg mi sem lenne egyszerűbb. Az embernél gyakorlatilag mindig ott van a telefonja, amely a legtöbbször már olyan számítási kapacitást kínál, amit egy pár évvel ezelőtti asztali gép is megirigyelhetne, ráadásul folyamatosan (és szintén egyre nagyobb sebességgel) csatlakozik az internetre. Miért ne használjuk akkor vásárlásra is, akár kis értékű fizetéseknél (amikor éppen nincs nálunk apró), vagy akár komoly vásárlásokra (hogy ne kelljen elővenni a bankkártyát).
Ez az elmélet, de a gyakorlat sajnos most is lemaradt. Az előnyökkel mindenki tisztában van, ám a biztonsági aggályok – mint oly sok technológiai újítás esetében – a mobilvásárlásnál és fizetésnél is gátjai a gyors terjedésnek. Mégpedig nem is kicsik: a KMPG tavalyi felmérése szerint a megkérdezett vállalatok 71 százaléka vallotta azt, hogy a biztonság a legnagyobb kihívás a mobilfizetési stratégia kidolgozása előtt, jócskán megelőzve minden más szempontot.
Bizalom és biztonság
Biztonsági kockázat természetesen minden vásárlási és fizetési tranzakció esetében fennáll. Ez a kockázat annál nagyobb, minél inkább elkülönül egymástól térben és időben a vásárlás és a fizetés; ennek megfelelően annál több technológiát, módszert kell a biztonság garantálására bevetni – mondja Inotay Balázs, a Cellum Global stratégiai igazgatója.
Amikor boltban, személyesen vásárol valaki és készpénzzel fizet, a kockázatot csak a hamis pénz használata jelenti. Bonyolultabb a helyzet a bankkártyás vásárlás esetén: ilyenkor az elfogadónak bíznia kell abban, hogy a fizetési tranzakció nyomán az ellenérték végül is átkerül az ő bankszámlájára.
Ezt a bizalmat nem is annyira a bankkártyát kibocsátó bank kapja meg (hiszen arról esetleg nem is hallott a kereskedő vagy a pénztáros), hanem a kártyatársaság, például a Mastercard, a Visa vagy az American Express.
Ugyanakkor a bizalom még nem egyenlő a biztonsággal, hangsúlyozza Inotay Balázs. A kereskedő megbízhat a kártyatársaságban, de ettől még a fizetésre használt mágnescsíkos kártya éppenséggel lehet hamisított is. A technológia már annyira elavult, hogy a kártyák igen könnyen másolhatók.
Sokszereplős játék
Még rosszabb a helyzet az internetes vásárlások során. A biztonságot ugyanis az garantálja, ha a tranzakcióban részt vevő felek – vásárló, kereskedő, a technikai és a pénzügyi lebonyolító – megbizonyosodhatnak egymás személyazonosságáról, vagyis arról, hogy mindenki az, akinek mondja magát, és joga van a tranzakciót végrehajtani.
A bankkártyával végrehajtott internetes vásárlások esetén erre nincsen mód, hiszen a vásárlót többnyire csak a kártyaadatok hitelesítik – az egyáltalán nem garantált, hogy a kártya tényleg az ő birtokában van. A megfelelő információk (név, kártyaszám, lejárati dátum, ellenőrző kód) birtokában igen könnyű visszaéléseket elkövetni. Tudják ezt persze a kártyatársaságok is, ezért általában valamilyen plusz biztonsági szolgáltatást is működtetnek.
A mobilvásárlási megoldásoknál annyiban bonyolultabb a helyzet, hogy további szereplők is megjelennek a színen. A vásárló, a kereskedő és a pénzügyi szolgáltatók (bankok, kártyatársaságok) mellett megjelennek a mobilszolgáltatók (amelyek olykor maguk is kínálnak fizetési lehetőségeket), illetve a technikai háttérrendszer kiépítéséért és működtetéséért felelős rendszerintegrátorok.
A biztonság garantálását ez utóbbitól várják, noha természetesen szükség van a többi szereplő együttműködésére is.
|
A három pillér |
|---|
|
Egy igazán biztonságos mobilfizetési rendszer Inotay Balázs szerint három pillérre épül. Ebből kettő olyan, mint amit az úgynevezett kétfaktoros azonosításnál már megszokhattunk: valami, amit a felhasználó birtokol, és valami, amit tud. Előbbi jelen esetben a telefonja, a hozzá tartozó egyedi telefonszámmal (sim-kártyával); a második pedig szokásos módon egy el nem tárolt pin-kód, amellyel a tranzakciókat lehet hitelesíteni. A harmadik elem viszont különleges: egy olyan információ, amely két darabra van „törve”, és az egyiket a felhasználó telefonja, a másikat pedig a rendszer őrzi – így egyik sem használható a másik nélkül. Ezt a fajta biztonsági architektúrát manapság a legteljesebb módon a Mastercard Mobile rendszer valósítja meg, mondja Inotay Balázs. A normál online vagy mobilvásárlásokkal ellentétben itt ugyanis nem kell kártyaadatokat küldeni a hálózaton. |
Kényelem vagy biztonság
Tovább nehezíti a biztonságos mobilvásárlási rendszerek kialakítását, hogy meg kell találni az egyensúlyt a kényelmes használat és a biztonság között, folytatja Inotay Balázs. „Minden további nélkül kialakíthatunk magas fokon biztonságos rendszert, de ha a felhasználónak állandóan hitelesítenie kell magát, kódokat kell megadnia, akkor nem fogja kedvelni” – teszi hozzá.
Ugyanakkor nem lehet teljes egészében mellőzni a biztonsági funkciókat, mert a felhasználók sok esetben félnek megadni bankkártyájuk adatait a hálózatokon. Nemzetközi felmérések szerint az elhatározott és megkezdett vásárlási tranzakciók mintegy 60 százalékát hagyják félbe a felhasználók – rendszerint annál a fázisnál, amikor a kereskedő oldaláról átlépnek egy fizetési szolgáltató oldalára, ahol meg kellene adniuk a kártyaadatokat.
Ehelyett a háromfaktoros rendszerben (lásd a keretes írást) a legelső vásárlást megelőzően regisztrálni kell a rendszerben a bankkártyát és a telefont, amellyel használni akarják a szolgáltatást. Az ennek során megadott kártyaadatokat védett környezetben úgynevezett kriptogrammá formálják át, majd az eredeti adatokat el is dobják, azokat tovább nem őrzik. Ezek után a kriptogramot kétfelé törik, a kisebb részét a telefonon, a nagyobbat pedig a rendszerben tárolják. (Itt kell megjegyezni, hogy egyik darabból sem lehet reprodukálni a teljes kriptogramot és abból az eredeti kártyaadatokat!) A vásárlás során a tranzakciós adatok mellett csak a saját kriptogramdarabot küldi el a rendszer, majd a vásárlást meg kell erősíteni egy hatjegyű pin-kóddal is.
Így kerül egymás mellé a biztonsági rendszer három pillére: a telefon (amit birtokol a felhasználó); a pin-kód (amit tud); és a két részre bontott kriptogram, amely biztonságosan tárolja és továbbítja az érzékeny adatokat. A megoldás ráadásul az online vásárlásokhoz is biztonságos környezetet teremt, mert csak egyetlen azonosítót kell megadni az interneten.
Schopp Attila
